La ingeniería social continúa siendo una de las herramientas más eficaces entre los ciberdelincuentes. A finales de 2025, una nueva campaña de ataques dirigidos demostró hasta qué punto los actores maliciosos están perfeccionando sus métodos, recurriendo a la suplantación de fundaciones benéficas para infiltrarse en entornos altamente sensibles.
En este caso, el objetivo fueron miembros de las Fuerzas de Defensa de Ucrania, expuestos a una ofensiva digital cuidadosamente planificada.
Los incidentes detectados entre noviembre y diciembre reflejan una estrategia sostenida que combina técnicas avanzadas de malware con un profundo conocimiento del contexto social y operativo de las víctimas.
El uso de canales de comunicación cotidianos y el empleo del idioma local reforzaron la credibilidad de los mensajes, reduciendo las sospechas iniciales y facilitando la infección de los dispositivos.
Una campaña atribuida a un grupo ruso especializado
Según el Equipo de Respuesta a Emergencias Informáticas de Ucrania, los ataques estarían vinculados a un grupo de origen ruso conocido como Void Blizzard, también identificado por otros analistas bajo la denominación Laundry Bear.
Este actor ha sido relacionado previamente con operaciones de ciberespionaje orientadas a objetivos gubernamentales y militares, caracterizadas por un alto grado de personalización.
La investigación apunta a una planificación minuciosa en la selección de las víctimas, con comunicaciones diseñadas para parecer legítimas y alineadas con iniciativas de ayuda humanitaria.
Esta aproximación permitió a los atacantes aprovechar el contexto de conflicto y la necesidad real de apoyo externo, convirtiendo la confianza en una vulnerabilidad crítica.
El malware PluggyApe y su funcionamiento
El elemento técnico central de la campaña fue un malware conocido como PluggyApe, una puerta trasera capaz de operar de forma silenciosa en sistemas comprometidos.
Una vez ejecutado, el programa genera un perfil del equipo infectado y transmite información clave a los servidores controlados por los atacantes, incluyendo identificadores únicos del dispositivo.
Además de la recopilación inicial de datos, PluggyApe permanece en espera de instrucciones, permitiendo la ejecución remota de código adicional.
Esta capacidad convierte al malware en una herramienta especialmente peligrosa en entornos militares, donde la exposición de información operativa puede tener consecuencias estratégicas.
Mensajería instantánea como vector de ataque
La fase inicial de la infección se apoyó en mensajes enviados a través de aplicaciones de mensajería ampliamente utilizadas tanto en dispositivos móviles como en ordenadores personales.
Los atacantes contactaban directamente con los destinatarios, solicitando que visitaran una supuesta página web de una fundación benéfica o descargaran documentación relacionada con ayudas solidarias.
En muchos casos, los archivos llegaban comprimidos y protegidos con contraseña, un detalle que aumentaba la percepción de legitimidad.
Los documentos ofrecidos no eran tales, sino ejecutables camuflados con extensiones diseñadas para pasar desapercibidas y engañar incluso a usuarios con cierta experiencia digital.
Evolución técnica de los archivos maliciosos
Los analistas detectaron una evolución clara en las técnicas empleadas a lo largo de los meses. En octubre, los atacantes recurrieron a archivos con extensiones dobles como .pdf.exe, utilizados para instalar versiones iniciales del malware.
A partir de diciembre, comenzaron a distribuir ficheros con la extensión .docx.pif, una variante menos común que dificultaba su identificación por parte de algunos sistemas de seguridad.
Junto a este cambio, se incorporaron mejoras significativas en el código, incluyendo el uso del protocolo MQTT para la comunicación con los servidores de mando y control. También se añadieron múltiples comprobaciones destinadas a detectar entornos de análisis y evitar la ejecución en sistemas utilizados por investigadores.
Identidades legítimas y conocimiento detallado de las víctimas
Uno de los aspectos más preocupantes señalados por los expertos es el uso de cuentas reales y números de teléfono asociados a operadores móviles ucranianos.
Esta táctica permitió a los atacantes establecer contacto sin levantar sospechas, reforzando la apariencia de legitimidad desde el primer mensaje.
La comunicación no se limitó al texto. En algunos casos, se emplearon mensajes de audio y vídeo, demostrando un conocimiento preciso sobre la persona contactada, su organización y sus funciones.
Este nivel de detalle evidencia un trabajo previo de recopilación de información que va más allá de campañas genéricas.
Los mensajeros como nuevo canal dominante de ataque
Desde el punto de vista defensivo, el caso confirma una tendencia creciente: las aplicaciones de mensajería instantánea se están consolidando como el principal canal de distribución de amenazas digitales.
Su uso generalizado, combinado con la confianza que generan en el ámbito personal y profesional, las convierte en un vector especialmente eficaz.
La capacidad de los atacantes para integrarse en flujos de comunicación reales plantea nuevos retos para la protección de infraestructuras críticas y obliga a replantear las estrategias de concienciación y detección temprana.
